Enregistrer les appels: affaire SWDE et attentes de la CNPD (LU)

En bref — Le 12 mai 2026, l’APD belge a infligé 86 000 € à la SWDE pour des enregistrements/écoutes d’appels non conformes (information, base légale, conservation). Au Luxembourg, la CNPD encadre strictement l’enregistrement des réunions/appels: information en amont, base légale précise, durée limitée.

L’affaire

Le 12 mai 2026, la Chambre Contentieuse de l’Autorité de protection des données (APD, Belgique) a rendu la décision 102/2026 visant la Société wallonne des eaux (SWDE). Elle prononce deux amendes totalisant 86 000 € et un ordre de mise en conformité, pour des manquements liés à l’enregistrement et à l’écoute d’appels entrants vers le call center (période 2018-2022). Sont retenus notamment: défaut de transparence envers les appelants et les employés, absence de contrat de sous-traitance conforme à l’article 28 RGPD, enregistrements « tests » sans base légale, et procédures ne garantissant pas l’effacement dans le délai d’un mois exigé par l’exception dite « call center » du droit belge des communications électroniques. L’APD sanctionne par ailleurs une base légale inadaptée (mission d’intérêt public) et l’impossibilité pour les appelants d’exercer utilement leur droit d’opposition. Un recours est pendant devant la Cour des marchés, mais la décision détaille précisément les exigences applicables. Voir le communiqué APD et la décision au fond 102/2026: autoriteprotectiondonnees.be et décision 102/2026 (PDF).

Pourquoi cette affaire nous concerne au Luxembourg? Parce que les exigences RGPD en jeu (articles 5, 6, 12, 13, 21, 28, 30, 32) s’appliquent également, et parce que la CNPD a publié des lignes directrices opérationnelles sur l’enregistrement des réunions et des conversations professionnelles, ainsi que des rappels sur le régime ePrivacy luxembourgeois: cnpd.public.lu.

Le raisonnement juridique

1) Base légale RGPD (article 6) et ePrivacy local

L’enregistrement d’appels/réunions implique un traitement de données (voix, parfois opinions, données sensibles incidentelles). Il requiert une base de l’article 6 RGPD. L’APD a rejeté l’invocation généralisée de l’article 6(1)(e) (mission d’intérêt public) pour la qualité/formation et a encadré strictement l’usage de l’intérêt légitime (article 6(1)(f)), en ligne avec les lignes directrices 1/2024 de l’EDPB: intérêt légitime réel et actuel, nécessité du traitement et test de mise en balance documenté. Voir décision 102/2026 et EDPB 1/2024.

Au Luxembourg, la CNPD rappelle que, pour les communications électroniques, l’article 4(3)(d) de la loi modifiée du 30 mai 2005 (ePrivacy LU) n’autorise l’enregistrement que (i) sur consentement préalable, ou (ii) pour des usages professionnels licites afin de prouver une transaction ou une autre communication commerciale — sous réserve d’une information claire et préalable des personnes. Pour la qualité/formation, l’intérêt légitime peut être envisagé si la nécessité est démontrée et si des garanties sont effectives (désactivation, canaux alternatifs, minimisation). Réfs: lignes directrices CNPD (PDF).

2) Transparence et information des participants (articles 12 et 13 RGPD)

Dans l’affaire SWDE, l’APD sanctionne l’information lacunaire et difficilement accessible (conditionnée à Internet), ce qui contrevient aux articles 12 et 13 du RGPD. La CNPD exige au Luxembourg une information explicite avant et au début de chaque appel/réunion enregistrée: message vocal ou visuel, mention des finalités (preuve, qualité/formation), base légale, destinataires, durée de conservation, exercice des droits et point de contact DPO. Pour les réunions, la CNPD détaille comment s’assurer d’un consentement libre (possibilité de ne pas être enregistré, couper l’enregistrement quand la personne parle, alternatives). Voir la décision APD et le dossier enregistrement sonore des réunions.

3) Droit d’opposition (article 21 RGPD)

L’APD reproche l’absence de modalités effectives permettant aux appelants de s’opposer en temps utile à l’enregistrement pour qualité/formation. En miroir, la CNPD recommande d’offrir, quand la base est l’intérêt légitime, un mécanisme simple d’opt-out (menu IVR, touche DTMF, adresse alternative, bascule vers un flux non enregistré), sauf si l’enregistrement est strictement nécessaire pour prouver une transaction. Les lignes EDPB sur l’intérêt légitime soulignent l’importance du test de mise en balance et de l’effectivité des garanties. Réf.: décision 102/2026.

4) Sous-traitants et écoutes qualité (article 28 RGPD)

L’APD inflige 1 000 € pour l’absence prolongée de clauses DPA signées avec un prestataire réalisant des écoutes/évaluations. Au Luxembourg, un contrat article 28 est impératif avant toute mise à disposition des enregistrements à un tiers (BPO, QA provider, outils SaaS d’analyse vocale). Il doit prévoir instructions documentées, confidentialité, sécurité, assistance aux droits, sous-traitance en chaîne, retours/suppressions. Voir la décision APD.

5) Durées de conservation (article 5(1)(e) RGPD)

La décision 102/2026 sanctionne des procédures ne garantissant pas la purge dans le mois, condition propre au régime belge pour bénéficier de l’exception « call center ». Au Luxembourg, la CNPD demande des durées déterminées, justifiées et annoncées; elle cite, selon les contextes, des durées courtes pour la qualité/formation et rappelle que les enregistrements à des fins de preuve doivent rester exceptionnels et limités. Alerte: la conservation « par défaut » longue pour de la formation est rarement proportionnée. Réfs: lignes CNPD (PDF).

Ce que ça change concrètement pour les dirigeants au Luxembourg

• Centres d’appels B2C/B2B, banques/assurances, utilities, helpdesks IT, RH/relations sociales: si vous enregistrez les conversations ou les réunions Teams/Zoom, vous devez pouvoir démontrer:
  • La base légale pertinente par finalité: preuve de transaction (ePrivacy + RGPD), gestion des litiges, qualité/formation (souvent intérêt légitime sous conditions), ou consentement valable quand requis. Appuyez-vous sur le raisonnement EDPB 1/2024 pour documenter votre LIA: edpb.europa.eu.
  • Une information préalable et au « point de contact »: message d’ouverture d’appel et bandeau/annonce en réunion, renvoyant vers un avis de confidentialité complet et accessible hors Internet si le service est universel (enseignements de SWDE). Voir la décision APD.
  • Un mécanisme effectif d’opposition quand la base est l’intérêt légitime (touche pour basculer vers un flux non enregistré, adresse alternative, prise en charge par un agent). Réf.: décision 102/2026.
  • Des durées propres à chaque finalité, courtes pour la formation (semaines à quelques mois), et des purges automatisées traçables. Voir références CNPD.
  • Des DPA article 28 signés avant toute écoute/annotation par un prestataire ou ingestion dans un SaaS d’analyse vocale; des mesures de sécurité (article 32) proportionnées et prouvables. Voir la décision APD.

Pour consolider votre organisation, explorez un mandat DPO et gouvernance RGPD et la conformité CNPD au Luxembourg adaptées à vos cas d’usage. En cas de besoin, vous pouvez aussi nous contacter.

Réunions enregistrées (comités, entretiens, relations sociales)

La CNPD détaille comment rendre le consentement « libre » (possibilité de ne pas être enregistré sans préjudice, options de découpage/coupure, alternatives non enregistrées). En pratique, n’activez pas l’enregistrement par défaut; affichez le témoin d’enregistrement et journalisez les déclenchements. Dossier CNPD: enregistrement sonore des réunions.

Pièges fréquents observés en audit

1. « On enregistre tout pour se protéger »: l’enregistrement systématique et non ciblé pour de la « qualité/formation » sans LIA solide échoue au test de nécessité; à la première contestation, il devient indéfendable. Référez-vous aux critères EDPB 1/2024: lignes directrices.
2. Information uniquement dans une politique web: si l’accès complet à l’information dépend d’Internet pour un service grand public (ex. service d’eau) — ce que l’APD a sanctionné — vous manquez les articles 12/13. Ajoutez des messages in-call/in-meeting et des supports hors ligne. Voir le communiqué APD.
3. Pas d’opt-out fonctionnel: annoncer un droit d’opposition sans bouton/touche/pochette de secours (ligne alternative) revient à un droit théorique, souvent jugé insuffisant. Réf.: décision APD.
4. DPA lacunaire avec le prestataire d’écoute/notation: l’affaire SWDE rappelle qu’un article 28 signé et complet est non négociable, y compris pour un « simple » qualimétrie. Voir la décision.
5. Durées « par habitude »: copier des délais génériques (p. ex. 12 mois) sans lien avec la finalité ni purge automatique expose à une sanction. La CNPD attend des durées courtes et justifiées pour qualité/formation; au besoin, séparez « preuve » (délai court strictement nécessaire) et « formation » (jeu d’exemples anonymisés). Réfs: CNPD.

Sources officielles

• APD (Belgique) — Communiqué « La Chambre Contentieuse inflige des amendes » (12 mai 2026) + SWDE 102/2026: autoriteprotectiondonnees.be et décision 102/2026 (PDF).
• CNPD (Luxembourg) — Dossier « Enregistrement sonore des réunions »: cnpd.public.lu.
• CNPD (Luxembourg) — Lignes directrices: base licéité et conservation et PDF.
• EDPB — Lignes directrices 1/2024 sur l’intérêt légitime: guidelines et note d’annonce.

En synthèse: l’affaire SWDE illustre que l’enregistrement « par défaut » des appels/réunions, sans information au point de contact, sans possibilité d’opposition effective et sans DPA robuste, est désormais un risque élevé en Europe. Les organisations luxembourgeoises doivent aligner leurs pratiques sur la CNPD: finalités strictes, base légale étayée (LIA), information in-call/in-meeting, durées brèves et purges tracées, et sous-traitance verrouillée contractuellement.

Article d'expertise Luxgap. Pour un cadrage personnalise sur ce sujet, contactez-nous ou configurez votre devis en ligne.